Лицензирование в сфере технической защиты информации

• Разобрать правовую основу лицензирования деятельности в области ТЗИ
• Определить виды работ, подлежащие обязательному лицензированию
• Изучить лицензионные требования ФСТЭК к соискателям
• Рассмотреть порядок получения лицензии, внесения изменений в реестр и прекращения её действия
• Показать связь лицензирования с сертификацией и аттестацией

Лицензия — специальное разрешение на право осуществления юридическим лицом или ИП конкретного вида деятельности.

• Подтверждается записью в едином реестре лицензий
• Действует бессрочно (с 2011 г.)
• Выдаётся уполномоченным федеральным органом
• Формирует гарантии соблюдения требований безопасности

Основание: ФЗ № 99-ФЗ от 04.05.2011 «О лицензировании отдельных видов деятельности»

Лицензионные требования устанавливаются исключительно положениями о лицензировании, утверждаемыми Правительством РФ.

• ГИС и иные охватываемые системы государственного сектора — ФЗ-149 и Приказ ФСТЭК № 117; № 17 — исторический документ, утративший силу с 01.03.2026
• ИСПДн — персональные данные (ФЗ-152, Приказ ФСТЭК № 21)
• КИИ — критическая информационная инфраструктура (ФЗ-187, Приказы ФСТЭК № 235, 239)
• Коммерческая/Служебная тайна — ограниченный доступ, не гостайна

Лицензирование охватывает техническую защиту информации по всем указанным направлениям, кроме сведений, составляющих государственную тайну. Официальная публикация приказа № 117.

Согласно ПП РФ № 79, лицензированию подлежит деятельность по технической защите конфиденциальной информации, включающая:

• Контроль защищённости от утечки по техническим каналам
• Контроль защищённости от НСД и модификации в средствах информатизации
• Мониторинг информационной безопасности
• Аттестационные испытания и аттестация объектов
• Проектирование в защищённом исполнении
• Установка, монтаж, наладка, ремонт СЗИ

Отдельный лицензируемый вид (ПП РФ № 171):

• Создание программных и программно-технических СЗИ
• Разработка защищённых средств обработки информации
• Производство технических средств защиты информации

Техническое обслуживание СЗИ для собственных нужд организации лицензии не требует.

• Осуществляет лицензирование деятельности по ТЗКИ
• Ведёт реестр лицензий (публичный, онлайн)
• Проводит плановые и внеплановые проверки
• Утверждает формы документов, перечни оборудования и НПА
• Осуществляет методическое руководство

Адрес: 105066, г. Москва, ул. Старая Басманная, д. 17
Консультации: Вт, Чт 10:00–12:00 (495) 632-14-48, 693-68-68

Лицензионные требования направлены на обеспечение целей лицензирования и включают:

• Наличие квалифицированных специалистов в штате
• Соответствующую материально-техническую базу (помещения)
• Необходимое контрольно-измерительное оборудование (КИО)
• АС и СЗИ лицензиата, прошедшие требуемую для них оценку соответствия
• Актуальную нормативную и техническую документацию

Образование подтверждается дипломом/справкой, стаж — трудовой книжкой или договором.

• Минимум 2 специалиста в штате по основному месту работы
• Высшее образование в области ИБ + стаж ≥ 3 лет
• Или иное высшее + стаж ≥ 3 лет + ППП по ИБ (≥ 360 ч.)
• Все специалисты учитываются в штатном расписании

Допускается привлечение внешних экспертов только для консультаций, но не для выполнения лицензируемых работ.

• Обязательно для руководителя и инженеров
• Периодичность: не реже 1 раза в 5 лет
• Объём программ: от 16 до 144 ак. часов
• Подтверждается удостоверением установленного образца

Отсутствие действующего удостоверения о повышении квалификации является основанием для приостановления действия лицензии при проверке.

• Наличие на праве собственности или законном основании (аренда, субаренда)
• Достаточная площадь для размещения персонала и оборудования
• Условия для работы с информацией ограниченного доступа
• Наличие защищаемых помещений для конфиденциальных переговоров (при необходимости)

Проверяется наличие договоров, правоустанавливающих документов и соответствие санитарным/пожарным нормам.

• Принадлежит соискателю на законном основании
• Соответствует Перечню ФСТЭК (33 позиции)
• Обязательная метрологическая поверка или калибровка
• Сертификаты СЗИ для контроля эффективности
• Средства статического анализа исходного кода (для разработки)

Примеры: измерительные антенны, микрофоны, вибродатчики, анализаторы спектра.

• Речь идёт об АС и СЗИ лицензиата по месту осуществления заявленных работ, а не о любой системе заказчика
• Форма оценки соответствия определяется требованиями ПП РФ № 79 и областью применения конкретной АС
• Для СЗИ проверяются требуемая форма оценки соответствия, версия, конфигурация и область действия документа
• Допускаются отечественные ОС, СУБД и прикладное ПО

Проверяются документы, подтверждающие соответствие именно тех АС и СЗИ, которые заявлены в лицензионном досье.

Утверждён ФСТЭК (актуальная редакция от 10.12.2024, 76 пунктов). Включает:

• Положение о системе сертификации СЗИ (Приказ № 55)
• Базовая модель угроз БИ ПДн
• Требования к СОВ, САВЗ, МЭ, ОС, СУБД
• Методики оценки угроз, уязвимостей, тестирования
• ГОСТ Р 56939-2024 «Разработка безопасного ПО»

1. Заявление по форме (Приказ ФСТЭК № 3 от 12.01.2023)
2. Сведения о квалификации специалистов + копии дипломов/удостоверений
3. Копии документов на помещения (право собственности/аренда)
4. Сведения об аттестованных защищаемых помещениях
5. Сведения об аттестованных АС (аттестаты, паспорта)
6. Сведения об оборудовании (свидетельства о поверке)
7. Сведения о наличии НПА и методических документов

• Подписывается руководителем юридического лица/ИП
• Указываются виды работ/услуг согласно п. 4 ПП № 79
• Заявление и документы представляются в лицензирующий орган на бумажном носителе или заказным почтовым отправлением с уведомлением о вручении
• Размер и основания уплаты госпошлины проверяются по действующей редакции налогового законодательства для конкретного обращения
• Решение о предоставлении лицензии или об отказе принимается в общий срок до 45 рабочих дней после поступления надлежаще оформленного комплекта

Для неполного или неверно оформленного комплекта применяется процедура уведомления и устранения недостатков по статье 13 закона № 99-ФЗ; это не самостоятельное основание для отказа.

1. Регистрация и проверка оформления комплекта
2. Оценка соответствия в форме документарной оценки по утверждённому оценочному листу
3. Оформление результатов актом оценки
4. Принятие решения в пределах общего срока до 45 рабочих дней
5. Внесение сведений в реестр и уведомление заявителя

Юридически значимый результат — запись в реестре лицензий; по запросу предоставляется выписка из реестра. Отдельная «электронная лицензия» не подменяет реестровую модель. Первоисточники: изменения ПП № 79 и закон № 99-ФЗ.

• Несоответствие лицензионным требованиям
• Недостоверные или искажённые сведения в заявке

Это основания статьи 14 закона № 99-ФЗ. Решение должно быть мотивировано; порядок и срок обжалования определяются применимой административной или судебной процедурой.

Актуальный термин — внесение изменений в реестр лицензий. Заявление подаётся в случаях, предусмотренных статьёй 18 закона № 99-ФЗ, в том числе при изменении:

• Наименования или организационно-правовой формы юрлица
• Юридического адреса или адреса места нахождения
• Адресов мест осуществления деятельности
• Перечня выполняемых работ/услуг

Срок, необходимость оценки соответствия и госпошлина зависят от основания обращения; универсальные «10 дней / 3 500 руб.» применять нельзя.

• Проверка соблюдения лицензионных требований
• Периодичность мероприятий зависит от действующего режима контроля и категории риска, а не от фиксированного интервала «раз в три года»
• Основания и формы контрольных мероприятий проверяются по действующему регулированию для конкретного сценария
• Мониторинг реестра лицензий и публичных источников

Компетентный орган — ФСТЭК России и её территориальные органы в установленной области.

Приостановление, возобновление и прекращение действия:

• основания и последовательность действий определяются конкретным сценарием и статьёй 20 закона № 99-ФЗ;
• последствия зависят от предписания, судебного акта, устранения нарушения и статуса лицензиата;
• универсального срока «90 дней» и автоматического годичного запрета закон не устанавливает для всех случаев.

• Лицензия разрешает деятельность, сертификат подтверждает качество СЗИ
• Для АС и СЗИ самого лицензиата подтверждается требуемая ПП № 79 оценка соответствия в заявленной конфигурации
• Лицензия на разработку и производство СЗИ требуется только для деятельности, входящей в область ПП РФ № 171
• Сертификат выдаётся на срок до 5 лет, лицензия — бессрочно

Не смешивайте два объекта: лицензионные требования к исполнителю и требования к конкретной информационной системе заказчика.

• Участники: ФСТЭК (фед. орган), органы по сертификации, испытательные лаборатории, изготовители
• Схемы: единичный образец, партия, серийное производство
• Объекты: средства защиты от утечки, НСД, СОВ, антивирусы, СДЗ, МЭ
• Результат: сертификат соответствия, запись в госреестре

6 уровней доверия (1 — высший, 6 — низший). Определяют глубину анализа:

• 6-5 уровни: КИИ 3-2 категории, ГИС 3-2 класса, ИСПДн 3-2 уровня
• 4 уровень: КИИ 1 категории, ГИС 1 класса, ИСПДн 1 уровня, ИСОП II класса

Требования включают модель безопасности, анализ скрытых каналов, документацию по разработке, управление конфигурацией, поддержку безопасности.

• Подтверждает соответствие объекта требованиям защиты информации
• Проводится до ввода в эксплуатацию или после модернизации
• Результат: аттестат соответствия, срок — до 5 лет (или бессрочно для некоторых объектов)
• Выполняется организациями, имеющими лицензию на аттестационные работы

Аттестация требуется только тогда, когда её требует применимый НПА или утверждённая для объекта форма оценки соответствия; аттестация не является универсальным требованием для каждой ИСПДн или КИИ. Официальная публикация приказа № 77.

• Применяется для СЗИ, используемых в ВС РФ и оборонном секторе
• Федеральный орган: Восьмое управление ГШ ВС РФ
• Участники: органы по сертификации, испытательные лаборатории Минобороны
• Требования дополняются ведомственными стандартами и ТТЗ
• Срок действия сертификата — до 5 лет

Лицензирование ТЗКИ находится в исключительной компетенции ФСТЭК.

1. Аудит текущих ресурсов (кадры, помещения, КИО, НПА)
2. Обучение/наём специалистов (1,5–2 мес.)
3. Закупка/поверка КИО (от 8 нед.)
4. Приобретение лицензионного ПО и сертифицированных СЗИ
5. Аттестация рабочих помещений и АС
6. Формирование пакета документов и подача в ФСТЭК

• Указание неактуальных или просроченных свидетельств о поверке КИО
• Несоответствие стажа работы указанным в заявлении сведениям
• Отсутствие договоров аренды с корректными реквизитами
• Применение устаревших версий НПА из перечня ФСТЭК
• Отсутствие подтверждения оценки соответствия АС или СЗИ лицензиата там, где это требуется ПП № 79

Рекомендация: предварительная консультация в Управлении ФСТЭК по федеральному округу.

• Ужесточение требований к импортозамещению СЗИ и ПО
• Внедрение ГОСТ Р 56939-2024 в практику разработки
• Цифровизация реестров лицензий и сертификатов
• Усиление контроля за техподдержкой сертифицированных продуктов
• Обновление Перечня КИО и методических документов ФСТЭК

• Официальные консультации по телефону и на сайте fstec.ru
• Публикация разъяснений и изменений в перечнях
• Мониторинг Банка данных угроз (БДУ) и уязвимостей
• Участие в рабочих группах и отраслевых конференциях
• Своевременное уведомление об изменении реквизитов

• Реализация программ ППП (от 256 ч.) и ППК (от 16 ч.)
• Слушатели: лица с дипломом о высшем/среднем проф. образовании
• Формирование компетенций по ГОСТ Р 50922-2006, ФЗ-152, ФЗ-187
• Подготовка к экзаменам и получению документов об образовании
• Повышение квалификации не реже 1 раза в 5 лет

• Лицензия — обязательное условие легальной работы в сфере ТЗИ
• Требования строго регламентированы ПП РФ № 79 и № 171
• Квалификация персонала и наличие КИО проверяются в приоритете
• Лицензионный контроль носит системный характер

• Лицензирование исполнителя, сертификация СЗИ и оценка конкретного объекта — связанные, но разные контуры
• Актуализация знаний и документов — гарантия сохранения лицензии
• Соблюдение требований регулятора минимизирует риски штрафов и приостановки
• Системное профессиональное обучение формирует базу для успешной карьеры

Готов обсудить:

• Нюансы подачи заявок в текущих условиях
• Особенности аттестации АС разных классов
• Переход на отечественное ПО и СЗИ
• Планирование программ повышения квалификации

Задавайте вопросы по содержанию лекции.

Спасибо за участие в лекции!

Полученные знания помогут выстроить эффективную систему защиты информации в вашей организации.

Следующие шаги:
1. Проверить актуальность внутренних документов
2. Запланировать аудит готовности к лицензированию
3. Записаться на курсы повышения квалификации